(1)

Liit peab asjakohaselt ja igakülgselt käsitlema kõiki finantssektori ettevõtjaid mõjutavaid digiriske, mis tulenevad info- ja kommunikatsioonitehnoloogia (IKT) suuremast kasutamisest finantsteenuste osutamisel ja tarbimisel, andes sellega panuse digirahanduse potentsiaali realiseerimiseks turvalises digikeskkonnas, kuivõrd see hoogustab uuenduslikkust ja edendab konkurentsivõimet.

(2)

Finantssektori ettevõtjad sõltuvad oma igapäevases äritegevuses suurel määral digitehnoloogia kasutamisest. Seetõttu on äärmiselt oluline, et nad tagavad digitaalse tegevuskerksuse IKT-riski suhtes. See vajadus on üha pakilisem tulenevalt eelkõige sellise murrangulise tehnoloogia turu kasvust, mis võimaldab väärtuse või õiguste digitaalset esitust elektrooniliselt üle kanda ja salvestada, kasutades hajusraamatut või sarnast tehnoloogiat (krüptovarad), aga ka tulenevalt nende varadega seotud teenuste jaoks mõeldud tehnoloogia turu kasvust.

(3)

Liidu tasandil on IKT-riskiga seotud finantssektori nõuded praegu esitatud Euroopa Parlamendi ja nõukogu direktiivides 2009/65/EÜ, (4) 2009/138/EÜ, (5) 2011/61/EL, (6) 2013/36/EL, (7) 2014/59/EL, (8) 2014/65/EL, (9) (EL) 2015/2366 (10) ja (EL) 2016/2341 (11).

Need nõuded on väga erinevad ja kohati mittetäielikud. Mõnel juhul on IKT-riski käsitletud üksnes kaudselt operatsiooniriski osana ning teistel juhtudel ei ole seda üldse käsitletud. Olukord paraneb Euroopa Parlamendi ja nõukogu määruse (EL) 2022/2554. (12) vastuvõtmisega. Nimetatud direktiive tuleks seega muuta, et tagada järjepidevus kõnealuse määrusega. Käesolevas direktiivis sätestatakse rida muudatusi, mis on vajalikud õigusselguse ja järjepidevuse tagamiseks seoses sellega, kuidas kõnealuste direktiivide kohaselt tegevusloa saanud ja järelevalve all olevad finantssektori ettevõtjad kohaldavad mitmesuguseid digitaalse tegevuskerksuse nõudeid, mida on vaja nende tegevuse jätkamiseks ja teenuste osutamiseks, tagades seeläbi siseturu tõrgeteta toimimise. On vaja tagada nende nõuete vastavus turusuundumustele, edendades samal ajal proportsionaalsust, eelkõige seoses finantssektori ettevõtjate suuruse ja nende suhtes kohalduva erikorraga, et vähendada nõuete täitmisega seotud kulusid.

(4)

Pangandusteenuste valdkonnas on direktiivis 2013/36/EL praegu sätestatud ainult üldised sisejuhtimise reeglid ja operatsiooniriski käsitlevad sätted, mis sisaldavad nõudeid situatsiooni- ja talitluspidevuse kavadele, mille alusel kaudselt käsitletakse IKT-riski. Selleks, et käsitleda IKT-riski ühemõtteliselt ja selgelt, tuleks situatsiooni- ja talitluspidevuse kavade nõudeid muuta, et need hõlmaksid ka IKT-riskiga seotud talitluspidevuse kavu ning reageerimis- ja taastekavu kooskõlas määruse (EL) 2022/2554 nõuetega. Ka käsitletakse IKT-riski, mis on operatsiooniriski osa, pädevate asutuste poolt tehtava järelevalvealase läbivaatamise ja hindamise protsessi käigus üksnes kaudselt ning selle riski hindamise kriteeriumid on praegu kindlaks määratud Euroopa Parlamendi ja nõukogu määrusega (EL) nr 1093/2010 (13) asutatud Euroopa Järelevalveasutuse (Euroopa Pangandusjärelevalve) (EBA) suunistes info- ja kommunikatsioonitehnoloogia riskide hindamise kohta järelevalvealase läbivaatamise ja hindamise protsessi raames. Selleks et tagada õigusselgus ning et pankade järelevalveasutused teeksid tulemuslikult kindlaks ja jälgiksid finantssektori ettevõtjate poolt IKT-riski juhtimist kooskõlas digitaalse tegevuskerksuse uue raamistikuga, tuleks samuti muuta järelevalvealase läbivaatamise ja hindamise protsessi kohaldamisala, et lisada selge viide määruses (EL) 2022/2554. sätestatud nõuetele ning et katta eelkõige riske, mis on välja toodud tõsiseid IKT intsidente puudutavates teadetes ning on ilmnenud finantssektori ettevõtjate poolt kõnealuse määruse alusel läbi viidud digitaalse tegevuskerksuse testimise käigus.

(5)

Digitaalne tegevuskerksus on oluline, et säilitada finantssektori ettevõtja kriitilised funktsioonid ja põhiäriliinid kriisilahenduse korral ning seeläbi vältida häireid reaalmajanduses ja finantssüsteemis. Tõsised operatsiooniintsidendid võivad pärssida finantssektori ettevõtja suutlikkust tegevust jätkata ning seada ohtu kriisilahenduse eesmärgid. Teatavad IKT-teenuste kasutamise lepingud on väga olulised, et tagada tegevuse järjepidevus ja pakkuda kriisilahenduse korral vajalikke andmeid. Direktiivi 2014/59/EL vastavusse viimiseks liidu tegevuserksuse raamistiku eesmärkidega tuleks direktiivi muuta, tagamaks et tegevuserksusega seotud teavet võetakse kriisilahenduse kavandamisel ning finantssektori ettevõtjate kriisilahenduskõlblikkuse hindamisel arvesse.

(6)

Direktiivis 2014/65/EL on sätestatud rangemad IKT-riski reeglid investeerimisühingutele ja kauplemiskohtadele, kes tegelevad algoritmkauplemisega. Vähem üksikasjalikke nõudeid kohaldatakse aruandlusteenuste ja kauplemisteabehoidlate suhtes. Samuti sisaldab direktiiv 2014/65/EL üksnes väheseid viiteid infotöötlussüsteemide kontrolli- ja kaitsemeetmetele ning asjakohaste süsteemide, ressursside ja protseduuride kasutamisele, et tagada äriteenuste järjepidevus ja korrapärasus. Lisaks tuleks kõnealune direktiiv viia kooskõlla määrusega (EL) 2022/2554 seoses investeerimisteenuste osutamise ja investeerimistegevuse järjepidevuse ja korrapärasuse, tegevuskerksuse, kauplemissüsteemide suutlikkuse ning talitluspidevuse korra ja riskijuhtimise tulemuslikkusega.

(7)

Direktiivis (EL) 2015/2366 on sätestatud erinormid IKT turvalisuskontrollide ja riskimaanduselementide kohta seoses makseteenuste osutamiseks tegevusloa saamisega. Kõnealuseid loa andmise norme tuleks muuta, et viia need kooskõlla määrusega (EL) 2022/2554 Lisaks tuleks halduskoormuse vähendamiseks ning keerukuse ja dubleerivate aruandlusnõuete vältimiseks lõpetada kõnealuses direktiivis sätestatud intsidentidest teatamise reeglite kohaldamine nende makseteenuse pakkujate puhul, kes kuuluvad kõnealuse direktiivi ja ka määruse (EL) 2022/2554 kohaldamisalasse, et võimaldada neil makseteenuse pakkujatel kasutada ühtset, täielikult ühtlustatud intsidentidest teatamise mehhanismi kõigist tegevust või turvalisust mõjutavatest maksetega seotud intsidentidest, olenemata sellest, kas sellised intsidendid on IKTga seotud.

(8)

Direktiivid 2009/138/EÜ ja (EL) 2016/2341 käsitlevad IKT-riski teataval määral üldjuhtimise ja riskijuhtimise üldsätetes, jättes teatavate nõuete täpsustamise delegeeritud õigusaktide ülesandeks, mitte alati viidates selleks konkreetselt IKT-riskile. Samuti kohaldatakse üksnes väga üldisi reegleid direktiivi 2011/61/EL kohaldamisalasse kuuluvate alternatiivsete investeerimisfondide valitsejate ja direktiivi 2009/65/EÜ kohaldamisalasse kuuluvate fondivalitsejate suhtes. Seepärast tuleks kõnealused direktiivid viia kooskõlla määruses (EL) 2022/2554. sätestatud IKT-süsteemide ja -vahendite haldamise nõuetega.

(9)

Paljudel juhtudel on täiendavad IKT-riski nõuded juba sätestatud delegeeritud õigusaktides ja rakendusaktides, mis on vastu võetud pädeva Euroopa järelevalveasutuse välja töötatud regulatiivsete tehniliste standardite ja rakenduslike tehniliste standardite eelnõude alusel. Kuna finantssektori IKT-riski õigusraamistiku moodustavad nüüdsest määruse (EL) 2022/2554. sätted, tuleks direktiivides 2009/65/EÜ, 2009/138/EÜ, 2011/61/EL ja 2014/65/EL sätestatud delegeeritud õigusaktide ja rakendusaktide vastuvõtmise teatavaid volitusi muuta, jättes IKT-riski käsitlevad sätted kõnealuste volituste kohaldamisalast välja.

(10)

Finantssektori digitaalse tegevuskerksuse uue raamistiku järjepidevaks kohaldamiseks peaksid liikmesriigid kohaldama käesoleva direktiivi ülevõtmiseks vastu võetud riigisiseseid õigusnorme alates määruse (EL) 2022/2554 kohaldamise alguskuupäevast.

(11)

Direktiivid 2009/65/EÜ, 2009/138/EÜ, 2011/61/EL, 2013/36/EL, 2014/59/EL, 2014/65/EL, (EL) 2015/2366 ja (EL) 2016/2341 on vastu võetud Euroopa Liidu toimimise lepingu artikli 53 lõike 1 või artikli 114 alusel. Käesoleva direktiiviga tehtavad muudatused on muudatuste sisu ja eesmärkide omavahelise seotuse tõttu koondatud ühte seadusandlikku akti. Sellest tulenevalt tuleks käesolev direktiiv vastu võtta nii Euroopa Liidu toimimise lepingu artikli 53 lõike 1 kui ka artikli 114 alusel.

(12)

Kuna käesoleva direktiivi eesmärke ei suuda liikmesriigid piisavalt saavutada, kuivõrd need hõlmavad ühtlustamist, küll aga saab neid meetme ulatuse ja toime tõttu paremini saavutada liidu tasandil, võib liit võtta meetmeid kooskõlas Euroopa Liidu lepingu artiklis 5 sätestatud subsidiaarsuse põhimõttega. Kõnealuses artiklis sätestatud proportsionaalsuse põhimõtte kohaselt ei lähe käesolev direktiiv nimetatud eesmärkide saavutamiseks vajalikust kaugemale.

(13)

Kooskõlas liikmesriikide ja komisjoni 28. septembri 2011. aasta ühise poliitilise deklaratsiooniga selgitavate dokumentide kohta (14) kohustuvad liikmesriigid põhjendatud juhtudel lisama ülevõtmismeetmeid käsitlevale teatele ühe või mitu dokumenti, milles selgitatakse seost direktiivi osade ja ülevõtvate liikmesriigi õigusaktide vastavate osade vahel. Käesoleva direktiivi puhul leiab seadusandja, et selliste dokumentide edastamine on põhjendatud,

1)

lõike 1 teise lõigu punkt a asendatakse järgmisega:

(*1)  Euroopa Parlamendi ja nõukogu 14. detsembri 2022. aasta määrus (EL) 2022/2554, mis käsitleb finantssektori digitaalset tegevuskerksust ning millega muudetakse määrusi (EÜ) nr 1060/2009, (EL) nr 648/2012, (EL) nr 600/2014, (EL) nr 909/2014 ja (EL) 2016/1011 (ELT L 333, 27.12.2022, lk 1).“ "

2)

lõige 3 asendatakse järgmisega:

1)

Artikli 41 lõige 4 asendatakse järgmisega:

(*2)  Euroopa Parlamendi ja nõukogu 14. detsembri 2022. aasta määrus (EL) 2022/2554, mis käsitleb finantssektori digitaalset tegevuskerksust ning millega muudetakse määrusi (EÜ) nr 1060/2009, (EL) nr 648/2012, (EL) nr 600/2014, (EL) nr 909/2014 ja (EL) 2016/1011 (ELT L 333, 27.12.2022, lk 1).“ "

2)

Artikli 50 lõike 1 punktid a ja b asendatakse järgmisega:

1)

Artikli 65 lõike 3 punkti a alapunkt vi asendatakse järgmisega:

(*4)  Euroopa Parlamendi ja nõukogu 14. detsembri 2022. aasta määrus (EL) 2022/2554, mis käsitleb finantssektori digitaalset tegevuskerksust ning millega muudetakse määrusi (EÜ) nr 1060/2009, (EL) nr 648/2012, (EL) nr 600/2014, (EL) nr 909/2014 ja (EL) 2016/1011 (ELT L 333, 27.12.2022, lk 1).“ "

2)

Artikli 74 lõike 1 esimene lõik asendatakse järgmisega:

„Finantsinstitutsioonidel peab olema kindel äriühingu juhtimise korraldus, mis hõlmab selget organisatsioonilist ülesehitust, mille puhul vastutusalad on selgesti määratletud, läbipaistvad ja järjepidevad, tõhusaid protseduure riskide või võimalike riskide kindlaksmääramiseks, juhtimiseks, jälgimiseks ja nendest teatamiseks, piisavat sisekontrollikorda, sealhulgas usaldusväärne juhtimis- ja raamatupidamiskord, võrgu- ja infosüsteeme, mis on loodud ja mida hallatakse kooskõlas määrusega (EL) 2022/2554, ning tasustamispoliitikat ja -tavasid, mis on kooskõlas usaldusväärse ja tõhusa riskijuhtimisega ja edendavad seda.“

3)

Artikli 85 lõige 2 asendatakse järgmisega:

4)

Artikli 97 lõikesse 1 lisatakse järgmine punkt:

1)

Artiklit 10 muudetakse järgmiselt:

2)

Lisa muudetakse järgmiselt:

1)

Artiklit 16 muudetakse järgmiselt:

2)

Artiklit 17 muudetakse järgmiselt:

3)

Artikli 47 lõiget 1 muudetakse järgmiselt:

4)

Artiklit 48 muudetakse järgmiselt:

1)

Artikli 3 punkt j asendatakse järgmisega:

2)

Artikli 5 lõiget 1 muudetakse järgmiselt:

3)

Artikli 19 lõike 6 teine lõik asendatakse järgmisega:

„Oluliste tööülesannete, sealhulgas IKT-süsteemide edasiandmine ei või toimuda viisil, mis kahjustab oluliselt makseasutuse sisekontrolli kvaliteeti ja pädevate asutuste võimet kontrollida ja jälgida, et makseasutused täidavad kõiki käesolevas direktiivis sätestatud kohustusi.“

4)

Artikli 95 lõikesse 1 lisatakse järgmine lõik:

„Esimene lõik ei piira määruse (EL) 2022/2554 II peatüki kohaldamist järgmiste suhtes:

5)

Artiklisse 96 lisatakse järgmine lõige:

6)

Artikli 98 lõige 5 asendatakse järgmisega: